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1 . Bei dlesem Bericht handelt es slch urn den internationalen vorlaufigen PrQfungsbericht, der von der mit der 
internationalen vorlaufigen PrOfung beauftragten Behdrde nach Artikel 35 erstellt wurde und dem Anmelder gemaB 
Artikel 36 Qbermittelt wird. 

2. Dleser BERICHT umfaBt Insgesamt 7 Blatter elnschlieBlich dieses Deckblatts. 

3. AuBerdern liegen dem Bericht ANLAGEN bei; diese umfassen 

a. S (an den Anmelder und das Internationale BQro gesandt) insgesamt 2 Blatter; dabei handelt es sich urn 

S Blatter mit der Beschreibung, AnsprQchen undybder Zeichnungen, die geandert wurden und dlesem Bericht 
zugrunde liegen, und/bder Blatter mit Berichtigungen, denen die Behorde zugestimmt hat (siehe Regel 
70.16 und Abschnitt 607 der Verwaltungsvorschriften). 

□ Blatter, die frOhere Blatter ersetzen, die aber aus den in Feld Nr. 1 , Punkt 4 und Im Zusatzfeld angegebenen 
GnJnden nach Auffassung der Behorde eine Anderung enthalten, die aber den Offenbarungsgehait der 
internationalen Anmeldung in der ursprunglich eingereichten Fassung hinausgeht. 

b. □ (nur an das Internationale Buro gesandt)\> insgesamt (bitte Art und Anzahl denties elektronischen 

Datentrager(s) angeben) , derflie ein Sequenzprotokoil undfcder die dazugehorigen Tabeilen enthaitenthalten, 
nur in computerlesbarer Form, wie im Zusatzfeld betreffend das Sequenzprotokoil angegeben (siehe Abschnitt 
802 der Verwaltungsvorschriften). " 
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OB T |r BERICHT Internationales Aktenzeichen 

D,E PATENTIERBARKEIT PCT/EP2004/D50977 



Feld Nr. I Grundlage des Berichts 



1. 



Hinsichtlich der Sprache beruht der Bericht auf der internationalen Anmeldung in der Sprache, in der sie 
eingereicht wurde, sofern unter diesem Punkt nichts anderes angegeben ist. °P rac ne, in aer sie 

□ Der Bericht beruht auf einer Gbersetzung aus der Originalsprache in die folgende Sprache, 

bei der es sich urn die Sprache der Ubersetzung handelt, die fur folgenden Zweck eingereicht worden ist: 

□ Internationale Recherche (nach Regeln 12.3 und 23.1 b)) 

□ Veroffentlichung der internationalen Anmeldung (nach Regel 12.4) 

□ internationale vorlaufige Prufung (nach Regeln 55.2 und/oder 55.3) 

2. Hinsichtlich der Bestandteile* der internationalen Anmeldung beruht der Bericht auf (Ersatzblatter die dem 
Anmeldeamt auf erne Aufforderung nach Artikel 14 hin vorgelegt warden, gelten im Rahmen dieses Berichts als 
"ursprunghch eingereicht" und sind ihm nicht beigefugt): nmmmn ui^es uencnis ais 

Beschreibung, Selten 

1 " 6 in der ursprQnglich eingerelchten Fassung 
AnsprQche, Nr. 

1 " 8 eingegangen am 02.05.2005 mit Schreiben vom 02.05.2005 
Zeichnungen, Blatter 

1/1 in der ursprQnglich eingereichten Fassung 

SequeSlprotokol?" und '°der etwaigen dazugehorigen Tabellen - siehe Zusatzfeld betreffend das 

3. □ Aufgrund der Anderungen sind folgende Unterlagen fortgefallen: 

□ Beschreibung: Seite 

□ AnsprQche: Nr. 

□ Zeichnungen: Blatt/Abb. 

□ Sequenzprotokoil (genaue Angaben): 

□ etwaige zum Sequenzprotokoil gehorende Tabellen (genaue Angaben): 

4 " SrfnSffJL?? H ht iSt ° hne B f ^ksichtlgung (von einigen) der diesem Bericht beigefugten und nachstehend 
£SS? m An ^. n 9en frstellt worden, da diese aus den im Zusatzfeld angegebenen Grunden nach 
^SS^7&% Offenbarungsgehalt in der ursprQnglich eingereichten Fassung hinausgehen 

□ Beschreibung: Seite 

□ AnsprQche: Nr. 

□ Zeichnungen: Blatt/Abb. 

□ Sequenzprotokoil (genaue Angaben): 

□ etwaige zum Sequenzprotokoil gehorende Tabellen (genaue Angaben): 
"erslSt-^L^n^eSen k6Mei1 ^ ^ dieSer B1 * tter mit der — 
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Feld Nr. V Begrundete Feststellung nach Artikel 35 (2) hinsichtlich der Neuheit, der erf inderischen 
Tatigkeit und der gewerblichen Anwendbarkeit; Unterlagen und Erklarungen zur Stutzung dieser 
Feststellung 



Nein: Anspruche 1-8 
Gewerbliche Anwendbarkeit (IA) Ja: Anspruche: 1-8 

Nein: Anspruche: 

2. Unterlagen und Erklarungen (Regel 70.7): 
siehe Beiblatt 



1. Feststellung 
Neuheit (N) 



Ja: Anspruche 1-8 
Nein: Anspruche 
Ja: Anspruche 



Erfinderische Tatigkeit (IS) 
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Zu Punkt V 

Begrundete Feststellung hinsichtlich der Neuheit, der erfinderischen Tatigkeit und 
der gewerblichen Anwendbarkeit; Unterlagen und Erklarungen zur Stutzung dieser 
Feststellung 

Es wird auf die folgenden Dokumente verwiesen: 

D1: US-A-5 839 096 (LYONS CHRISTOPHER T ET AL) 17. November 1 998 (1998- 
11-17) 

D2: US 2002/1 7881 3 A1 (BABALA MICHAEL L) 5. Dezember 2002 (2002-1 2-05) 
D3: US-A-4727549 (TULPULE ET AL.) 23 Feb. 1988 (1988-02-23) 



1 Die vorliegende Anmeldung erfullt nicht die Erfordemisse des Artikels 33(1) PCT, weil 
der Gegenstand der Anspruche 1-8 nicht auf einer erfinderischen Tatigkeit im Sinne 
von Artikel 33(3) PCT beruht. Die Begrundung dafur ist die folgende: 

Neuheit: 

2.1 Dokument D1 offenbart: einen Sensor bei welchem ein Sensorelement und 
funktionalen Komponenten die Funktion des Sensors bewirken und ein 
Sensorausgangssignal erzeugen (Siehe D1, Sp. 6, Z. 14- 26 und Sp. 7, Z. 23-48 und 
Abb. 2; das Sensorelement besteht aus Transducervorrichtung 218 und 
Detektionsvorrichtung 222, die funktionalen Komponenten sind Zirkulator 236, Mixer 
244, 250, 248, und Verstarker 262, 260, 258). Ein Sensorausgangssignal wird 
erzeugt und der Abstandsmessvorrichtung 224 zugeleitet. Diese funktionale 
Komponenten bilden eine Funktionssektion. Es sind weiter Kontrollkomponenten 
vorgesehen, die ausgebildet sind zur laufenden Kontrolle der funktionalen 
Komponenten (Sp. 6, Z. 32- 33 und Abb. 1 , "system diagnostic" 1 1 mit "sub- 
diagnostics"; Siehe auch Sp. 6, Z. 67- Sp. 7, Z. 12). Weiter sind 
Uberwachungskomponenten vorgesehen, zur Uberwachung der 
Kontrollkomponenten mindestens einmal wahrend eines Betriebszyklus (Sp. 7, Z. 13- 
20 und Sp. 18, Z. 32-61 , der "watchdog timer" wartet auf ein Reset vom 
Mikroprozessor 194 wahrend einer gewissen Periode, "a predetermined period of 
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time"). Der "watchdog timer" bildet eine Watchdog-Schaltung zur Oberwachung des 
Mikrokomputers. 



2.2 Laut PCT Richtlinien, Kapitel 5.40, hat das Merkmal "insbesondere einen 
Drehratensensor" keinen einschrankenden Effekt auf den Schutzumfang des 
Anspruchs und ist daher als rein fakultativ zu betrachten. 

2.3 Der Gegenstand des Anspruchs 1 unterscheidet sich daher von der aus D1 
bekannten Einrichtung dadurch, da3 die Oberwachungssektion eine Komponente zur 
Oberwachung des Takts eines in der Kontrollsektion enthaltenen Mikrocomputers, 
und eine Einrichtung zur Prufung von Speichem innerhalb der Kontrollsektion enthalt. 
Der Gegenstand dieses Anspruchs ist somit neu. 

2.4 Anspruche 2-8 sind vom Anspruch 1 abhangig und erfullen damit ebenfalls die 
Erfordernisse des PCT in bezug auf Neuheit. 

Erfinderische Tatigkeit: 

3.1 In der D1 wird eine Kontrollkomponente, insbesondere der Mikroprozessor, 
uberwacht von der Watchdog-Schaltung. Dem Fachmann auf diesem Gebiet ist es 
aber gelaufig, daB samtliche Komponenten der Kontrollsektion uberwacht werden 
konnen und mussen. Es ist ihm weiter gelaufig, daB bei Watchdogschaltungen der 
Takt des Mikrokomputers und auch die korrekte Wirkung der Speicher uberwacht 
werden konnen. Fur eine Illustration dieses allgemeinen Fachwissens, siehe D3, Sp. 
1, Z. 18-30, Sp. 3, Z. 1 1-17 und Sp. 7, Z. 36-40. Der Gegenstand des unabhangigen 
Anspruchs 1 beruht somit nicht auf einer erfinderischen Tatigkeit. 

3.2 Der Gegenstand der abhangigen Anspruchen 2 und 4 beruht ebenfalls nicht auf 
einer erfinderischen Tatigkeit, da die Merkmale dieser Anspruche bekannt sind aus 
D1: 

Anspr. 2: Sp. 6, Z. 45- 52, "minimum level of noise". 
Anspr. 4: Sp. 6, Z. 52- 62. 
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3.3 Fur den Anspruch 3 wird D2 als nachstliegender Stand der Technik angesehen. D2 
offenbart eine Sicherheitseinrichtung fur einen Drehratensensor mit Sensor (D2, Abb. 
1 Vibrator 100), funktionalen Elementen (D2, Abb. 1, Sensorschaltkreis 200) und 
Kontrollkomponenten, die die funktionalen Komponenten kontrollieren (D2, Abs. 
[0030], [0033], Diagnoseschaltkreis 600 enthalt Sensorkontrollschaltkreis 610, 
welcher das Sensorausgangssignai kontrolliert und vergleicht mit 
Schwellwertreferenzspannungen, d.h. Grenzwerten. Bei Storung gibt der Schaltkreis 
ein Diagnosesignal aus am Ausgang vom Schaltkreis 650, Siehe auch Abb. 2). Der 
Unterschied zwischen dem Gegenstand dieser Schrift und Anspruch 3 besteht in der 
Anwesenheit der Oberwachungskomponenten, die die Kontrollkomponenten 
uberwachen. Das Problem, welches dieses Merkmal zu losen versucht, ist daG man 
bei der Diagnoseeinrichtung aus D2 bei Abwesenheit eines 
Storungsanwesenheitsignals am Ausgang vom Schaltkreis 650 Oder sogar bei 
Anwesenheit eines Storungsabwesenheitssignals noch immer nicht sicher ist, daB 
alle Komponenten storungsfrei funktionieren, da ja die Diagnoseeinrichtung an sich 
defekt sein konnte. 

Das technische Gebiet der Schrift D2 ist das der Fahrzeugtechnik. Es wird explizit 
das Fahrzeugbenehmen erwahnt. (Siehe Abs. [0012] und [0050]). 

Der Fachmann sucht sich daher eine Ldsung fur das erwahnte Problem auf dem 
Gebiet der Fahrzeugsensoren. D1 hat das gleiche Problem und die gleiche Losung 
wie Anspruch 3, namlich die Oberwachungskomponente (watchdog): die 
Taktiiberwachung und Speicheriiberwachung sind dem Fachmann gelaufig, siehe 
Punkt3.1 oben. 



Der Fachmann wurde das Merkmal aus D1 ohne erfinderisches Zutun auf die 
Einrichtung aus D2 anwenden und so zum Gegenstand des Anspruchs 3 gelangen. 
Dem Gegenstand dieses Anspruchs unterliegt daher keine erfinderische Tatigkeit. 

3.4 Die verbleibenden Anspruche 5-8 scheinen auch nicht erfinderisch zu sein: obwohl 
sowohl D1 als auch D2 Funktionssektionen mit ausschlieBlich analogen 
Komponenten beschreiben, ist das verwenden von digitalen Komponenten in solchen 
Schaltkreisen, und daher auch das Kontrollieren solcher Komponenten, eine 
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naheliegende MaBnahme (Anspr. 5-7). Das nicht mehrfach verwenden von 
Torschaltungen eines ASICs aus Sicherheitsgrunden scheint an sich fur den 
Fachmann naheliegend zu sein (Anspr. 8). 
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F.CT/EP20O4/050977 



Neue Patentanspriiche 1 bis 6 
1. 



10 



15 



20 



Sicherheitseinrichtung fur einen Sensor, insbesondere 
emen Drehratensensor, bei welchem ein Sensorelement 
und funktionale Komponenten die Funktion des Sensors 
bewirken und ein Sensorausgangssignal erzeugen, wobei 
die funktionalen Komponenten (1, 10 bis 18) eine Funk- 
tionssektion (4, bilden, wobei ferner Kontrollkomponen- 
ten (19 bis 25) in einer Kontrollsektion (5) und Ober- 
wachungskomponenten (26, 27, 28) in einer Oberwachungs- 
sektion (6) vorgesehen sind, wobei die Kontrollkompo- 
nenten (19 bis 25, zur laufenden Kontrolle der funktio- 
nalen Komponenten (1, 10 bis 18) ausgebildet sind, wo- 
bei die Oberwachungskomponenten (26, 27, 28) zur Ober- 
wachung der Kont roll komponenten (19 bis 25) mindestens 
einmal wahrend eines Betriebszyklus ausgebildet sind 
und wobei die Oberwachungssektion (6) eine Komponente 
(26) zur Oberwachung des Takts eines in der Kontroll- 
sektion enthaltenen Mikrocomputers, eine Watchdog- 
Schaltung (27) zur ttberwachung des Mikrocomputers (19, 
und eine Einrichtung (28, zur Prufung von Speichern in- 
nerhalb der Kontrollsektion (5, enthalt. 

Einrichtung nach Anspruch 1, dadurch gekennzeichnat, 

.dass die Kontrollkomponenten (19 bis 25, zur Messung 

von Werten in der Funktionssektion (4, und zum Ver- 

gleich der gemessenen Werte mit Grenzwerten ausgebildet 
sind. 

Einrichtung nach Anspruch 2, dadurch gekennzeichnet, 
dass die Kontrollkomponenten (19 bis 25, ferner zur 
Messung des Sensorausgangssignals und zum Vergleich des 
gemessenen Sensorausgangssignals mit Grenzwerten ausge- 
bildet sind. y 

Einrichtung nach elnem der Anspruche 2 Oder 3, dadurch 
gekennzeichnet, dass die Kontrollkomponenten (19 bis 
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25) ferner zu Tests der funktionalen Komponenten (1, 10 
bis 18) ausgebildet sind, wobei Testsignale erzeugt und 
den funktionalen Komponenten (1, 10 bis 18) zugeftlhrt 
werden und die Reaktion der funktionalen Komponenten 
(1, 10 bis 18) auf die Testsignale gemessen wird, 

Einrichtung nach einem der Ansprttche 2 bis 4 r dadurch 
gekennzeichnet, dass die Funktionssektion (4) Digital- 
(14 bis 17) und Analog-Komponenten (1, 10, 11) enthalt 
und dass die Kontrollkomponenten zum Zugriff auf Regis- 
ter der Digital-Komponenten (14 bis 17) und zur Messung 
von Analogsignalen an den Analog-Komponenten (1, 10, 
11) ausgebildet sind. 



10 



15 



20 



25 

8, 



30 



Einrichtung nach Anspruch 5, dadurch gekennzeichnet , 
dass die Kontrollsektion (5) eigene Analog-Komponenten 
(20 bis 23) und mindestens einen Analog/Digital-Wandler 
(24) enthalt. 

Einrichtung nach einem der vorhergehenden Anspruche, 
dadurch gekennzeichnet, dass die Oberwachungs komponen- 
ten (26, 27, 28) im Wesentlichen zur Oberwachung von 
digitalen Kont roll komponenten (14 bis 17) ausgebildet 
sind. 

Einrichtung nach einem der vorhergehenden Anspruche, 
dadurch gekennzeichnet, dass Komponenten der Funktions- 
sektion (4), der Kontrollsektion (5) und der Oberwa- 
chungssektion (6) von einem anwendungsspezif ischen in- 
tegrierten Schaltkreis (ASIC) gebildet sind und dass in 
dem Schaltkreis enthaltene Torschaltungen jeweils nur 
einer der Sektionen zugeordnet sind. 
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a signal processor in a user environment is disclosed. 
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a state transition signal upon the execution of each sub- 
test. The self-test may be combined with a watchdog 
activity monitor (WAM) which provides a test-failure 
signal in the presence of a counted number of state 
transitions not agreeing with an expected number. An 
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WATCHDOG ACTIVITY MONITOR (WAM) FOR Kcf^S 2 pr ° cedu i? , m presented to detect 
USE WTH HIGH COVERAGE PROCESSOR S£££J&? ^hons. Their approach is potentially 

SELF-TEST rKUUlS>I>OR ^ tave ™ a user environment because it suggests the 

€ av oidance, to some extent, of the normally enormous 
The invention described herein was made in the ner- T^^LlT^u ° n ? quired to generate test sets for 
formance of work under NASA Contract No NAS2 S£S ^"^ber of gates, flip-flops, and intercon- 
11771 and is subject to the provision of&ction w i^f TT ^ SI u cm5 !f lts ■** « microprocessors, 
the National Aeronautic^ » SdSSS ArttfSfflm nn ? * e ^ when faced ^ «^ task, semiconductor 
Stat 435; 42 U.S.C 2457). P 58 a2 1A sometimes system manufactureis have resorted to 

_ ' 10 exhaustive testing of each and every machine state and 

TECHNICAL FIELD stuck-at fault condition. However, this approach is un- 

This invention relates to detecting signal processor fflm —"^ 8 time « on une ' built-in-test 
faults in a user environment with a JffZSSSi SKe^ft£ ™ COmpUter SyStemS because of 
coverage and to predicting that fault coverage. is nt- «fJ. 

»u« coverage. 15 Oneofthe imost important drawbacks of these tests is 

BACKGROUND ART they lack an independent, external monitor for the 

In many digital computer systems the detection and C °u eCt com P Ie t>on °f these self-tests. In 

correct isolation or "coverage" offauures the co^ the^wo^L * m ° mt0r * mction ' such 38 a W DT. 

true in avionic type computer systems suchia ffirtt suc oessfulIy completed. The monitoring 

engine, navigation or weapon cSro? sySnS Sre SSTrfT* 6 ,nde P endent of Pressor so thai 

redundant control systems ^st^dX con^Usofa f e l^f,l * C P roc «f°5 under test * a monitor would 

tion of a fault must be guaranteed^th a SSSl PUrp0Se ° f ** test 

IE f ? , J: 8ard * the «™w» of failure. Upon detec- 25 DISCLOSURE OF INVENTION 

tion of a fault one of the redundant systems b immedi- The obiect «f th» „,« » • 

ately selected to "carry" the system A varietv oFn^tt wiZ 7-^, ! present invention is to provide a 
In-Test (BIT) techniques have been devdS to nS£ J25fSL?f 6 method , and 1 a PP a ratus for the on-line, 
such requirements. Notable among SSS SrSTf detect l on .^ lation » "coverage", of 
dog Timer (WDT) function and pro^r sSf-t«te 30 fadures , m a d, » tal computer which may be 

The WDT function, also known SS^^ 30 t0 f uanu ««« channel shutdown to a very high 
"sanity monitor" is So mo^r c^rXfwrW T^ 0 ^^ 0,6 presence of ^'nres. 8 
operation by requiring periodic SSting^Sof ° f the present invention, 

the WDT hardware within a legaltime inteSTkmfwn ^tnT^^T ^ method « combined 

as a window. This WDT function is " S 35 mutt be^SSn^S {WAM > which 

monitor which can detect any selected feiW^Tl • °e POTOdically started and then stopped at the 

cause the program to cu^S froml^o^LL time that each self-test is completed in order to 

sequence and^eby SSmWOT Se^aSw w ^ ^ W ^ M • initiate a tri P out or cause a 
The particular implementation of , SK ?™ n f^ eI *ver a ction. During each WAM activity moni- 

sometimeserodeitecoveragecapabS ZESZT^SfF™™*" test Mecutes a Processor 

the WDT window is too lar K e and WT^fn "elf-test; the CPU issues a sequence of state transition 

updated more than « ?tSZSL t^S*T£ coS^f'? ^ h ««P«-Ws the failure to 
coverage probability for, say. a program toS failura Son 2™.?* •' 88 measu , red bv *>» number of transi- 
is thereby reduced. f ugram looping taUure tion signals received, exactly at the end of the interval. 

The processor self-test, unlike the WDT is a verv as SLX^T X * *■? JS?™ 1 Provided by the CPU, 
specific test involving a collection of Sific 'W ™ a guarai " eed WAM trip leading to channel 
work" instructions foF a given proces^r Tn e LtT^ C ° nCept ° f ^compassing a comprehensive 

executed using specific data as inDutHnd arL S3 factional processor self-test with the WAM function 
to "^ccc^-I^JZ^SIm!^^ S*£2 fef,,^ ^ ^ Predictab,e coverage of 
in the processor. Clearly this is a formidabte S S so P ^^ f fau i? s 1 ls at *e center of this invention, 
for the simplest micropLessors dueTolhe eStiX tea^hm^lflfr "J r totaKl 1,16 central 

infinite number of possible machine states. A ISS? JS fust aspect of the present invention, to 

proportion of these must be tested to asTure a Mrff2! 21 ^ * tumn « ^P^ 15 of the WDTs of the 

gree of coverage. restea to assure a high de- prior art have been abandoned in the WAM of the pres- 

The coverage provided by processor «.|p-t«t« 5. „.„ <c mvention. The processor self-test is set-up in ad- 
erally very difficult to SfaSIS 52 toS l ° h ?* e ^j 0 ' blocks of the signal 

of many studies. See. for examme. aTaS bv S?£ Processor. These may include bit manipulation tests, 
S-M- and J. A. AbraW^Generati^oS lEfSTl ^ ^ subt?ac «° a opera- 

Microprocessor Architectures." in mTS r«Zi ^ °Perational tests, and 

International Symposium on Fault-Toler^CmnnT ^ rotate Bnd shift operattonal tests. Of course, a variety of 
ing. Madison. Wise., ffiEE ComputerTiS T„" f?^ S A 7 be excluded «»nd other tests may be 
203-210. June. 1979. There?TgraXKetiS;i tbr * e t conclusi ° n ^ each of the above major 

microprocessor architecture isVrLenteS wSS25E ^!°!f°f "f» ? » made to the next major 

the treatment of the organization and tetractioS sTIs SSfSwV??- A { 3 transition « ««' 

parameters of test generation procedure Fnnot^ti « m J°* e Wate ndog Acnvity Momtormdicating that one 
level fault models fir iS^SSSS^SSSS ^oT^S^^^ 0 ^ 0 ^^' 
and tte instruction decoding and control functional cSion 8 ^ • d ^ SCnt more ^nentiy. at the con- 
developed independent of the details of tanlem^terin? elusion of minor test steps accomplished within each 
i- e cieiaus or implementation. major functional test block. Each time that the WAM 
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utilizes a counter responsive to Te aEe desS "^ m °l POSS,b ^ f f lur ? mod <* of a complex proci 

count pulses. If the counter counts down to zero before ^h™/ ha s been developed by 

or after expected, a channel sever is initiated. It should 5 . ? Abraham who have modeled the processor 

of course be understood that many other similar ap- architecture m terms of the instructions and registers 

proaches may be taken in implementing the tracking of toe l L?^ cle referred «° m the Background Art 

the state traroutions of the self-test section). Their approach deals with failures in instruc- 

The state transitions in the Markov diagram of FIG U ? "J" data patn exeoution and is therefore independent 

1 are probabilistic in nature with the probability of io Si* s P €cUic *ate level implementation, 

taking incorrect paths denoted by P F , i.e.. the probabil- The self-test design methodology used in this Inven- 

ity of a failure. The P F values are assumed to be the **? ,s d,f!fe "Mt from that approach in that it is based on 

same for all state transitions for the sake of simplifica- a Actional model of the processor such as the model 

£ term, of ,h. vt v ^ , u ™ ™ ^ 1 modules or eleme "^ in the pro- 

H^r,^. ° . Markov "odel, the processor self-test , 5 c ^o«- are conventional or classical such as register 

^f* 6 £ t^s invention can be described as a finite arithmetic and logic units, multipliers, rotate and shift 

S,^" tamsitions sequentially from the nnits, comparators, instruction decoder Sc dl con 

n ^S5? te Qothrough states Qj. Q* ... to the final state nected with data and address bus connStioSfor «2T 

SCX* My deV,a ?? n .- The ^ated WAM in this nal connection. The method fa^SeSTe^urf. so rW 
* h ^ lsa « omte ![ whlc n counts thecorrectnumberof 20 new or unconventional element SThTSffi m 5f 

within the scope and intent of the oresent invention ariThT-T , _, processor fadure rate. The tests 
However, the Amplified approach C^ K « ~ ^T** t ?,«? cte ««* «W* °f instruction 

adequate to establish the concepts requhSS achieve 25 eacVSnf • °l f"™ *" Can be covered *y 
minimum coverage by the WAM aTteught hweiTto tSZSZl ? fTJ^ For . e3HUn P^ a shift and rotate 
any case, regardless of the counting mechanism ^eS JSg? JiSS *"? right 3,111 ,eft shifts for 
whenever an incorrect number of state transitions are STS? anthmebc operands and compar- 

detected by the WAM at the end of a particular test , n ^gainst expected results. As another example, all 
execution, this leads to channel sever. 30 g associated with an adder can be checked by add- 

The probability of correct failure detection and isola- '? binary number "P«sented and 

toon, te., coverage" (Q can be calculated as follows. f„J fT? 8 * 811 OVerflow Wlth 2ero as a result. The data 
The lack of coverage (1-C) can be attributed to those "** T tests m choxtt to maximize the number of 
sequences of incorrect state transitions through state ,< m ener Bked by the test 

Qf for which the total number of state transitions an- . , block dia gram illustration of FIG. 2 is a func- 
pears to be correct so that the WAM is unable to detect ^ na, T m ^! 1 of a Processor 50 including registers 
the failure. As may be seen from FIG. 1, there are many ' ALU M ' Program counter 56, control unit 58, inter- 
tt/ 0 ^ hlch ^ fe P° s !«'^ One such sequence is a ™ pt ,, CQ "? 01 *°' and address/timing 61 functional 
fedure sequence Q* Q,, Q F , (N-3) Qf, Q„ in which 40 blo 5*f Of course, the typical signal processor will also 
^J^t ^ th t l f Xactlv N " 3 transitions from Qj to 40 ! no ude major functional blocks which are not 
stete teke place before QatIs reached with a total of "eluded for the sake of simplicity. Each of the func- 
WA ^ 58 n0t total *»al block may be conceptualized as commScSufg 

gWe^by? ° f C ° VeragC Can therefore ^ a ^ bus 62, an address bus 64, and a control but 

45 FIG. 3 is an illustration of a comprehensive test pro- 

1 - c = ^ M _ ^-z !S?^S h T y .$ e out on a Processor mod- 

w» W eled accordmg to the functions which it is capable of 

= at . f,*! _ /yyv-2. carrying out as, for example, in FIG. Z Thus, the test 

_ p so Procedure musttated in FIG. 3 is designed for specific 

If J? ms for a processor with Pf= 10-S (10 failures per ° n . a ^P 1 ^ a Snal processor. It will therefore be 

I0*hours),a 100 state WAM gives a lack of coverag^of appreciated that the WAM of the present invention is 

not restricted to use with any particular processor or to 
a particular test sequence. The processor test sequence 
1 - c = ioo x to-i«{i - io-S)9» 35 ^escribed herein is merely illustrative of one of many 

= 999 x 10-w „™f * Wh i Ch ^? ^ P^ticed accordmg to the 

x 10 P. res ™t mventlon. The CPU self-test of FIG. 3 is de- 

to that signed to test the processor for hardware faults using 

coverage (Q=0.9999999991 -0 9.1 ^ mLT™^ mst ^ cti ° n set - Each test checks a specific 

of the large number of gates and their possible failure ThTcprr "fr ? . I00 % coverage. 

modes. A variety of teclmiques have b^aSeTonedn! « m™?^^* 8 15 ^ r f orm&i Periodically in order 
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tests may be designed to rotate single as well as multiple which the WA M } ° . • • 
bits m one instruction: p wmcn uie WAM must be legitimately started and 

The self-test next executes, in a step 120, a stack oner- ™ «p »inLr Wmdow T y ^ right after the occur- 
ation available in most processors today A nush onp™ I the Macrosync signal as shown in FIG. 5(b) by 

tion is used to place kio^u« o/kVtecf ^e 5 5™?*? wWch ShowS the window ^"ing at 
values are placed on the stack, the stack winter is tested tu ^ t ° and at a time 14. 

to assure it is decremented correctly. The memory of „• J5f C ° ntt v l °?5 *°* 55 also responsive to a START 
the stack is then addressed and its values compared witii t 8 ^ ?*, I lme J S0 which ma y •» a decoded signal 
the known values. Next the values are removed from S? tCd 5,* 0 ?"*™ <° ***** the sta " of a predeter- 
the stack using the pop operation. As the values are 10 TZt. ° f reaI Ume> Le - *• start of the timed 

removed, they are compared with the known values ^AM self-test sequence occurring in the signal proces- 
sed the stock pointer is tested to assure it is mere- ft%^V^ H-***,* shown be 8 innin « at time t, in 
mented The number of values used in this test is deter- f/ L (c) 35 md,cated by a si 8nal pulse 251 which ends 
mined by software memory requirements. at a nme t 2 . 

The next step 122 is a block transfer test which may 15 . Acco , rdu, g to the present invention, the WAM self- 
be used to verify the block move function, block com* T?* 1 b «P erfonned on <* Per Macrosync period and 
pare, and translate and test functions. The block move is ■ *f 1 W ! U have a P rec " e duration. Although the pre- 
tested by copying prestored known values into a table CUie . duration of each test is not specifically monitored 
^tL™^ Cren V en u t I and rcpeat ty P e of instructions. ° r A tuned ' " 18 effectively measured by the counter since 
At Uie completion of this instruction registers used by 20 the Planned duration of each test is known in ad- 
the instruction are checked against known values. The vance * ^ test must thus have a precise duration in titis 
values in the tableare then compared against the known sense ' lt must take place exactly according to the 
? ^ ^ The next Motion to be ?*P«*ed sequence of test state transitions which must 
™ Sc^f ?* * "? 1,18 tI ? nsIate 3,111 tcst instruction. ^ a dtt ?ation exactly equal to a known duration 
tebTe •f8 ,vena fc«own string and a known 25 f« only tadirectly measured. As described above? k 

£«£'J£ ^ "SBtera and translated bits used by the ■ a cpniprehensive test designed to exercise the ma or 
'I™ Che f ked as*** known values. ^fena! blocks of the processor. In ftTbeS mode 

struS* Sf^T 2* ° f J the f epS 104 - 122 - «« »- nuplementation disclosed herein, the executS of Ms 
£££5L%fk d *° de 3,141 other s5 « nal8 generated test « monitored by the WAM function in termV of a 
WAmShI V™**™ *» monitored by the 30 P r «*e number of data and instruction fetch operations 
WAM indicating the completion of a test step. At the executed over a precisely known priori 1 w„£^T •! 
completion of all of the above steps 102-122, the sel£ should be undemoodlhat ?2S of ^SSSTSl 
ofrSSf^ ^ 1( ? in " hich a dcket-puSL than those disclosXrcm^^ 
Se &H ^ the signal processor under consistent with the concepts SsedTreu? ?S 
L i^lf Watchdog Activity Monitor hardware which 35 casc > each such measurable activity conSS: » «t«» 

actiXt^t^es"^ 2 thC P rCCiS f *- the £ ,B * tal f ° r *• prOCCSSOr SSISTSS dS£ 
. °u- " 30 expected value. If not re- the counter 206 by means of the COUNT ^ 

by S ^ » —red Hue 245. At ^coJu^^SXte^ £ e 

a^Ste^teV^fofS^^S^ 55 WAM^S 5 * thB '^^ Cementation of this 
and which is preset by a load con^md s^gnafon a ? lS ™ C S of °" a f con \P"l hed b V oounting oc- 

244. The counter is loaded with a tote^l, T ^ .u • ? ^'. ecific selected CPU activity on a Une 

counted down to zero b/a^SsigmU^nTC ^ ^• n * eM 8 ht b« register/counter 206 which is drivel 
which clocks in count signal pSsTa£e5£^J2 «. SL • Cl ?° k pukes 0n ^e 242. Upon 

enabled by a count enaWe s£Ton a Une ^ " S ^ ^ LOA ° SignaI ° n une 244 the 
WAM 200 can be cleared by tt,e procesSrt CPU^ ^S.TcSSSV* S Un ? ° f CPU activi ties after 
start operation using a CLEAR signal oT^ Une 247 L^l^f iLTPY ?JJ aWe Signal on the ,ine 246 " The 
Besides being responsive to thT Macro^f »„h ™ k ^ Ioads prespecified count total and 
CLEAR signals, thecontrol log^c 204 is^s^r^on^/e « Knw^l on< =t P er Macrosync frame by the 
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ami latch so that, if the processor later issues an unsever 
command without a POR (power or reset) or pilot 
request signal on a line 220 being valid (indicating a 
processor failure such as lost software), that incorrect 
action itself clears the sever latches and causes a sever. 
This last feature provides an added degree of enhanced 
processor fault coverage. 

Although the invention has been shown and de- 
scribed with respect to a best mode embodiment 
thereof, it should be understood by those skilled in the 
art that the foregoing and various other changes, omis- 
sions, and additions in the form and detail thereof may 
be made therein without departing from the spirit and 
scope of the invention. 
We claim: 

1 A watchdog activity monitor (WAM) responsive 
to a power-on-reset signal for providing a start-up sever 
signal for severing selected signal processor output 
signate and responsive to a subsequent unsever request 
signal for providing an unsever signal for unsevering 20 
the selected processor output signals, the WAM for use 
with a signal processor repetitive self-test, the self-test 

^^T^^ UlCrc r th a start «snal pulse indica- 
tive of the beginning of each self-test, state transition 
signal pulses provided by the processor during each 25 
self-test upon the occurrence of test state transitions, 
and a reset signal pulse provided by the processor indic- 
ative of the conclusion of each self-test, the WAM com- 
prising: . 

CO " n . t ". m " m * r«POusive during each repetition of 30 
the self-test to the start signal pulse from the signal 
processor and the state transition signal pulses for 
providing an output signal having a magnitude 
indicative of the number of state transitionsignai 
pubes received after the reception of the start sig- 35 
nal pulse; and ° 

sever logic means, responsive to the reset signal pulse 

7l»?r OUt P ut ^ for Providing a sever 
signal for severing the selected Signal processor 
output signals if the magnitude of said output sig- 40 
nab is different from a selected magnitude at the 
tune the reset signal pulse is provided. 

2. The WAM of claim 1, further comprising: 
independent timing means responsive to selected 

processor pulses for timing the interval between 45 
said selected processor pulses and providing a tim- 
ing signal indicative of the duration of said interval; 

means for comparing the magnitude of said timing 
signal to a selected magnitude and for providing a 50 
*ver signal for severing the selected signal procL- 
sor output signals if said timing signal magnitude 
differs from said selected magnitude. 

3. The WAM of claim 1, further comprising further 

r^u«S m iT tS * rCS ^ nsive to a first to occur unsever 
request signal for prodding an unsever signal for unsev- 
ering the selected output signals of the signal processor 
and responsive to any subsequent unsever request sig- 
^i° r P" v Jding f » «ver signal for severing the si 
lectedoutput signals of the signal processor. 

*: r V"\ WAM of clai » 1. further comprising further 
w!fJ^? ^f 8 resp ° nS,ve t0 a Power-on-reset signal 
for provuhng the start-up sever signal for severing the 
agmd processor output on start-up and responsive to 
EJS^ ° CC ^. of rav subs «iuent unsever request 65 
rrtI°,L Pr ° V,dlng . an ^ signal for unsevering 
the selected output signals of the signal processor and 
responsive to any additional unsever request signals for 
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iSf"! fw SeV " Si ? naI for sev enng the selected output 
signals of the signal processor. 

S. A watchdog activity monitor (WAM), responsive 
*fjf. "J 8 ever WP«* signal by providing an unsever 
signal for unsevering selected output signals of a signal 
processor, the WAM for use with a signal procS 
repetitive self-test having associated therewith a num- 
ber of sub-tests, a clock signal, a repetitive frame syn- 
chronizing signal pulse and a self-test window signal for 
mdicatmg a subframe within each repetitive frame 
wtthm wh ch subframe a self-test may be eiecu eTa 
start s gnal pulse and a reset signal pulse, occurring 
respectively, at the beginning and end of each self-test, 
and the processor providing, during the course of each 
self-test, state transition signal pulses upon the occur- 
rence of transitions between selected sub-test states, the 
WAM comprising: 
logic means, responsive to the frame synchronizing 
pulses and the window signals for enabling a self- 
test sequence within each subframe, said logic 
means also responsive, during each subframe. to a 

?■ f from ? he signal Processor for 
providing a load count signal and a count enable 
signal in response thereto, siad logic means also 
responsive, during each subframe to a reset signal 
pulse from the signal processor for providing a 
reset request signal in response thereto- 
counter means, responsive to. said load count signal 
and to said count enable signal, for respectively 
oading a count signal magnitude and for enabling 
the counting of a plurality of state transition signal 
pulses during each subframe, said counter means 
also responsive to the state transition signal pulses 
and the clock signal from the processor for count- 
ing upon each simultaneous reception of both a 
clock signal pulse and an edge of the state transi- 
tion pulse within a subframe, said counter means 
providing a counted output signal having a magni- 
tude indicative of the number of state transition 
signals received during the subframe; and 
means responsive to said reset request signal and to 
said counted output signal for comparing, at the 
time said reset request signal is received, the magni- 
^!l e ?i Sa ? d oounted output signal to a reference 
signal having a magnitude indicative of the magni- 
tude of the number of selected sub-test states and 
for providing a sever signal for severing the se- 
lected output signals of the signal processor if said 
counted output signal magnitude differs from said 
reference signal magnitude. 
.VP 6 WAM of claim 5, wherein said logic means 
farther comprises means for comparing the sequence of 

T d< 7' T md reSet sisals witiun 2ch 
repefctive frame to a selected expected sequence and for 
providing a sever request signal in the presence of a 
received signal sequence different from the selected 
expected sequence. 
7. The WAM of claim 5, further comprising- 
independent timing means, responsive to selected 
signal pulses from the processor for measuring a 
time interval between said selected processor sig- 
nal pulses and providing an interval signal indica- 
tive of the duration of said interval; and 
means for comparing the magnitude of said interval 
signal to a time reference signal having a magni- 
tude mdicanve of the duration of each frame and 
for providing a sever signal for severing the se- 
lected signal processor output signals in the pres- 
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